Presunta exposición de datos de Sofascore

En las aplicaciones deportivas, la combinación de correo electrónico, nombre de usuario, nombre y fecha de última actividad permite a los atacantes identificar qué cuentas se han utilizado recientemente. Un hash de contraseña no es una contraseña en texto plano; sin embargo, si se utiliza una contraseña débil o un método de hash antiguo, se puede intentar obtener la contraseña a partir del hash. La fecha de última actividad puede utilizarse para preparar alertas de inicio de sesión o mensajes de seguridad de la cuenta falsos. Si el nombre de usuario también se utiliza en otras plataformas, se pueden buscar coincidencias con cuentas en foros deportivos, plataformas de apuestas o redes sociales. Por tanto, no debe considerarse que el riesgo se limita a la cuenta de Sofascore.

El registro representa un número aproximado de filas de usuarios y no debe interpretarse como el número de personas distintas. Se informa al usuario del riesgo práctico para su seguridad sin dejar de señalar las limitaciones del alcance.

Los usuarios en riesgo son quienes han creado una cuenta de Sofascore y han utilizado el mismo correo electrónico y la misma contraseña en otras cuentas deportivas, de redes sociales, de correo electrónico o de apuestas. El interés por los deportes y el nombre de usuario pueden facilitar que los atacantes envíen mensajes con el pretexto de ofrecer notificaciones de partidos, alertas sobre el equipo favorito, renovaciones de suscripción o avisos de seguridad de la cuenta. La fecha de última actividad puede ayudar a determinar si la cuenta está activa. Los creadores de contenido, los administradores de comunidades deportivas y las personas que utilizan el mismo nombre de usuario en varias plataformas pueden recibir mensajes más dirigidos.

Los usuarios para los que se detecte una coincidencia no deben reutilizar en otras cuentas ninguna contraseña que puedan haber utilizado en su cuenta de Sofascore. Deben cambiar la contraseña por una única en las cuentas de correo electrónico y en las cuentas deportivas, de redes sociales o de pagos que utilicen esa misma contraseña. Se debe activar la autenticación multifactor en todos los servicios que lo permitan. Los correos electrónicos inesperados que contengan resultados de partidos, apuestas, recompensas o enlaces de verificación de cuentas deben examinarse con atención. También se deben revisar las sesiones desconocidas y los mensajes de restablecimiento de contraseña en otras plataformas donde se utilice el mismo nombre de usuario. Las operaciones relacionadas con la cuenta deben realizarse siempre a través del sitio web o de la aplicación oficiales.

Para protegerse a largo plazo, los usuarios no deben considerar que las cuentas deportivas y de entretenimiento presentan poco riesgo; si se utiliza la misma contraseña, estas cuentas pueden servir de puerta de entrada a servicios de mayor valor. El uso de un gestor de contraseñas, una contraseña única para cada plataforma y las revisiones periódicas de seguridad deben convertirse en hábitos básicos. Por parte de las aplicaciones, son importantes los métodos modernos de hash de contraseñas, el cierre de sesiones antiguas, la opción de que el usuario elimine sus datos y los procesos claros de notificación. Debe reducirse la conservación innecesaria a largo plazo de campos como el de actividad reciente. Los usuarios también deben tener cuidado con los mensajes personalizados basados en su equipo favorito o sus intereses deportivos.

La comprobación de LeakData muestra si su dirección de correo electrónico coincide con el registro de Sofascore. Si hay una coincidencia, cambie su contraseña no solo en esta plataforma, sino también en todos los servicios donde utilice la misma contraseña o una similar. Examine los mensajes inesperados de inicio de sesión, restablecimiento de contraseña y recompensas de temática deportiva que reciba en su bandeja de entrada. La ausencia de coincidencias puede dejar fuera cuentas antiguas creadas con una dirección de correo electrónico diferente. Aunque este registro no se ha confirmado mediante una declaración oficial, debe tenerse en cuenta para la seguridad de la cuenta debido a los hashes de contraseñas y al campo de última actividad.